Seguridad en el exchange y API
Lección 9 de 39 del curso «Cripto». Gratis, con animaciones y un test.
Protege tu cuenta
Tres básicos de la imagen. 2FA, o sea un segundo código al entrar, con una app autenticadora y no por SMS. Una contraseña larga y única: si repites la misma, una filtración en un sitio abre todos. Código antiphishing: una palabra que el exchange pone en sus correos para que los distingas de los falsos. Configúralo el primer día.
Por qué no SMS
Una app autenticadora crea un código nuevo cada 30 segundos en tu propio móvil, como 482 913 en la imagen. El código por SMS es más débil: un estafador puede hacer que te reemitan la SIM a su nombre (cambio de SIM) y recibir tus códigos. Y ojo con el phishing: una copia del sitio roba tu contraseña, así que entra desde marcadores y sube los documentos de KYC solo en la web oficial.
Retiros solo a tus direcciones
La lista blanca de retiros es una lista de direcciones a las que el exchange te deja enviar monedas. Agregas antes solo tus billeteras. Si hackean la cuenta, el ladrón no puede retirar al instante a su dirección: tendría que agregar una nueva, y eso pide 2FA y a menudo una espera. Spoiler: es uno de los ajustes más útiles.
Espera para direcciones nuevas
La imagen muestra cómo funciona. En la lista blanca solo están tus direcciones. Una dirección nueva suele activarse con espera, por ejemplo 24 horas, y pide un código 2FA. Eso te da tiempo de notar un acceso ajeno y bloquear la cuenta. Al agregar una dirección, revisa el inicio, el final y la red: los virus cambian el texto copiado.
Claves API: mínimos permisos
Una clave API es una contraseña con la que un bot o servicio maneja tu cuenta sin entrar a la web. El exchange guarda tus monedas, como muestra la imagen, así que una clave con permiso de retiro equivale a acceso a tu dinero. Da solo lectura (Read) y restricción por IP, o sea que funcione solo desde el servidor del bot. Nunca permitas retiros. No pegues claves en chats ni capturas.
Ponte a prueba
- ¿Qué 2FA es más segura?
Respuesta correcta: Una app autenticadora. El SMS se puede interceptar con un cambio de SIM. El código de la app se crea en tu móvil y no pasa por la operadora. - ¿Qué permisos dar a una clave API solo para ver operaciones?
Respuesta correcta: Solo lectura. Para ver basta la lectura. El permiso de retiro convierte una clave filtrada en acceso a tu dinero. - ¿Qué te da una lista blanca de retiros?
Respuesta correcta: Retiros solo a tus direcciones. Aun con la cuenta hackeada, el ladrón no puede enviar monedas a su dirección enseguida: una nueva pide 2FA y a menudo espera.
← Estafas y phishing: no caigas Impuestos cripto: registros sin dolor →